Sommaire
On croyait l’affaire réglée avec WordPress 7.1.4, sortie le 28 octobre pour corriger la faille CVE-2026-119977, une faille d’exécution de code pendant la mise à jour du cœur, déjà exploitée selon la CISA. Sauf que le correctif lui-même peut être détourné : c’est ce qu’explique Umut Bayram, le chercheur de Picus Security qui a découvert la faille, dans The Hacker News ce 6 novembre. La mise à jour qui installe le correctif décompresse encore les fichiers avec l’ancien code non corrigé — et sur les sites en 5.9 ou plus récent, le nom du dossier temporaire dans wp-content/upgrade reste prévisible une dernière fois. Un attaquant sans compte peut alors atteindre l’installateur pendant les quelques secondes de la mise à jour, configurer sa propre base de données et exécuter du code avec les droits du serveur web, avant que le dossier ne soit effacé. Wordfence avait déjà bloqué plus de 18 500 requêtes visant ce dossier temporaire dans les 21 premières heures suivant la divulgation.
La parade est simple et à appliquer avant de lancer la mise à jour : bloquez l’accès web au dossier wp-content/upgrade. Sur Nginx, ajoutez location ^~ /wp-content/upgrade/ { deny all; } ; sur Apache, ajoutez RedirectMatch 403 ^/wp-content/upgrade/ dans le .htaccess à la racine, au-dessus des règles WordPress — surtout pas dans un .htaccess placé dans le dossier lui-même, car l’ancien programme de mise à jour efface tout son contenu avant de décompresser. Vérifiez qu’une requête vers /wp-content/upgrade/ renvoie bien une erreur 403, puis lancez la mise à jour vers la 7.1.4 ou le correctif de votre branche. Une fois le correctif installé, les mises à jour suivantes utilisent un nom de dossier aléatoire et le problème disparaît. L’autre option sûre : une mise à jour manuelle, hors de la racine web. En revanche, WP-CLI ne protège pas : il utilise le même programme de mise à jour. Et les sites en 4.6 ou plus ancien ne reçoivent plus de correctif du tout.
Lento dit : se faire pirater en installant le correctif, c’est le comble. Deux minutes pour bloquer un dossier, et la mise à jour redevient ce qu’elle doit être : une mise à jour. Faites-le avant de cliquer, pas après.
